centos 7 防火墙

centos 7 中默认将原来的防火墙iptables升级为了firewalld，firewalld跟iptables比起来至少有两大好处：
1、firewalld可以动态修改单条规则，而不需要像iptables那样，在修改了规则后必须得全部刷新才可以生效；
2、firewalld在使用上要比iptables人性化很多，即使不明白“四张表五条链”而且对TCP/IP协议也不理解也可以实现大部分功能。

**注：实际上iptables还有第五张表—security表，但是这张表需要和selinux结合使用**

firewalld目录结构：
firewalld的配置文件以xml格式为主（主配置文件firewalld.conf例外），有两个存储位置
1、/etc/firewalld/
2、/usr/lib/firewalld/
使用规则：当需要一个文件时firewalld会首先到第一个目录中去查找，如果可以找到，那么就直接使用，否则会继续到第二个目录中查找。注：两个目录下的同名配置文件第一个目录内的生效
第二个目录中存放的是firewalld给提供的通用配置文件，如果我们想修改配置， 那么可以copy一份到第一个目录中，然后再进行修改，当然也可以直接修改第二个目录下的文件

查看服务状态：
# systemctl status firewalld
# systemctl status -l firewalld
-l 完整信息 如果屏幕显示空间不够，默认情况下会缩略显示

启动关闭服务：
# systemctl start firewalld
# systemctl stop firewalld
# systemctl reload firewalld 重新加载配置
zone:
firewalld默认提供了九个zone配置文件：block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml，他们都保存在“/usr/lib /firewalld/zones/”目录下

九个zone其实就是九种方案，而且起决定作用的其实是每个xml文件所包含的内容，而不是文件名，所以不需要对每种zone（每个文件名）的含义花费过多的精力，比如trusted这个zone会信任所有的数据包，也就是说所有数据包都会放行，但是public这个zone只会放行其中所配置的服务，其他的一律不予放行，其实我们如果将这两个文件中的内容互换一下他们的规则就换过来了，也就是public这个zone会放行所有的数据包

注意：生效的只有默认zone里面的规则
trusted.xml中zone的target，就是因为他设置为了ACCEPT，所以才会放行所有的数据包，而 public.xml中的zone没有target属性，这样就会默认拒绝通过，所以public这个zone只有其中配置过的服务才可